해킹 사고에 경계 수위 높인 증권사들···예방책 마련 고심

대신증권·한양증권에 이어 미래에셋증권도 사고미래에셋, 고객·임직원 등 39000명 정보 유출금융당국 CEO 책임 강화···예산·인력 확보 과제

[여의도 증권가. 사진=강민석 기자 kms@newsway.co.kr

사이버 보안 강화가 증권업계 핵심 과제로 떠오르고 있다. 최근 대신증권과 한양증권에 이어 미래에셋증권에서도 정보 유출 사고가 발생하면서 보안체계 전반을 재점검해야 한다는 목소리가 높아진 것이다. 금융당국도 최고경영자(CEO)의 관리 책임을 강조하고 있는 만큼 보안 예산과 전문인력 확보, 최고정보보호책임자(CISO)의 권한 강화 등 실질적인 대응책 마련이 요구된다.

사이버 공격 받은 미래에셋 계열사 4곳으로 늘어

9일 금융투자업계 등에 따르면 미래에셋증권은 지난 4일과 5일 모바일웹 휴대전화 인증 로그인 서비스와 사내 그룹웨어에 대한 외부 비정상적 접근 및 공격이 발생했다고 7일 밝혔다. 이번 사고로 최근 사이버 공격을 받은 미래에셋그룹 계열사는 미래에셋생명, 미래에셋자산운용, 에너지인프라자산운용을 포함해 4곳으로 늘었다.

박기웅 세종대학교 정보보호학과 교수는 "과거에는 지켜야 할 시스템이 비교적 단순했지만 지금은 수많은 기능과 시스템이 서로 연결돼 있기 때문에 보안 관리가 훨씬 어려워졌다"며 "방어자는 수백, 수천 개의 시스템을 모두 지켜야 하는 반면 공격자는 단 하나의 구멍만 찾아내도 공격에 성공할 수 있고 AI를 통해 취약점을 빠르게 파악하기 때문에 이러한 비대칭성이 더욱 커지고 있다"고 설명했다.

증권업계는 대신증권, 한양증권에 이어 초대형 증권사인 미래에셋증권마저 해킹으로 인한 정보 유출사고가 발생하자 업계 전반으로 긴장감이 확산된 모습이다.

한 증권업계 관계자는 "보안 사고에 만반의 준비를 하고 있겠지만 어느 기업이라도 공격 대상이 될 수 있기 때문에 해킹 위협에서 자유로운 곳은 없다고 본다"며 "증권사뿐 아니라 금융권 전반으로 공격 범위가 넓어지고 있어 업계에서도 긴장감이 커질 수밖에 없는 상황"이라고 말했다.

우선 취약점으로 지목된 그룹웨어와 클라우드 등 외부 시스템을 통한 보안 위협에도 경계심을 높이는 가운데 보안체계 고도화에 따른 비용 부담은 불가피할 전망이다.

또 다른 증권업계 관계자는 "정보보호 투자 확대와 전문인력 확보에 따른 비용 부담은 있을 수밖에 없다"면서도 "금융사의 보안사고는 고객 신뢰와 직결되는 만큼 정보보호 투자를 선택적인 비용이 아닌 필수 투자로 인식하고 있다"고 말했다. 이어 "자동화와 시스템 고도화를 통해 보안 수준을 높이는 동시에 운영 효율성도 개선하는 방향으로 우선 대응해보고 있다"고 덧붙였다.

"보안 책임자가 실질적인 의사결정 권한 행사해야"

전문가들은 금융당국의 CEO 책임 강화 기조가 실질적인 보안 투자와 내부 관리체계 개선으로 이어져야 한다고 입을 모았다. 사고 발생 이후 책임자를 문책하는 데 그치지 않고 보안 조직의 독립성과 전문성을 보장하는 한편, 시스템 전반의 취약점을 상시 점검할 수 있는 예방 중심의 관리체계를 구축해야 한다는 지적이다.

최경진(개인정보전문가협회장) 가천대학교 법학과 교수는 "최근 들어 지능화된 해킹 공격이 전방위적으로 이루어지면서 기존에 상대적으로 보안에 소홀했던 시스템이나 경로가 중대한 취약점으로 떠오르고 있다"며 "핵심 시스템뿐 아니라 시스템 전반에 정보보호를 기본값을 설정하고 예산과 전문인력을 충분히 확보해야 한다"고 말했다.

금융감독원 등 금융당국은 CEO의 관리 책임을 직접 거론하며 압박 수위를 높이고 있다. 특히 이찬진 금융감독원장은 지난 3일 임원회의에서 종합금융투자사업자와 보험사 등 대형 금융회사에 대해서는 은행권과 동일한 수준으로 경영진의 책임을 따지겠다는 입장을 밝혔다.

박 교수는 "CSIO에게 사고 책임만 지우는 구조로는 한계가 있기 때문에 CEO에게 보안 사고 책임을 묻는 것은 바람직한 방향"이라며 "보안 책임자가 필요한 예산을 확보하고 실질적인 의사결정 권한을 행사할 수 있도록 경영진이 뒷받침해줘야 한다"고 강조했다.